Divulgação de Vulnerabilidades

Como comunicar uma vulnerabilidade

Comunique suspeitas de falhas em sistemas da própria Blaze pelo contato de segurança publicado no site. Inclua o sistema afetado, passos de reprodução, impacto possível e um meio seguro de resposta. Não envie dados pessoais, credenciais ou bases completas além do estritamente necessário. Solicite um canal protegido para evidências sensíveis.

Escopo e testes responsáveis

Esta política abrange sistemas de propriedade da Blaze ou expressamente incluídos por ela. Sistemas de clientes e terceiros exigem autorização escrita separada. Evite indisponibilidade, engenharia social, negação de serviço, acesso persistente, alteração ou exfiltração. Se encontrar dados de terceiros, interrompa os testes, retenha apenas a evidência mínima e reporte. Esta política não concede imunidade legal geral nem autorização sobre ativos de terceiros.

Tratamento do relato

Buscaremos confirmar o recebimento, validar a falha, pedir esclarecimentos e informar o andamento e a correção quando seguro e possível. A complexidade e dependências podem alterar o prazo. Coordenaremos a divulgação pública com o pesquisador; 45 dias para uma correção inicial ou plano e 90 dias para divulgação coordenada são metas de referência, não prazos automáticos nem promessa de publicação. Exploração ativa, risco elevado ou atraso podem exigir outro cronograma. O crédito ao pesquisador depende de consentimento. Podemos recusar relatos irreproduzíveis ou fora do escopo.

Pesquisa da Blaze sobre terceiros

Quando a Blaze identificar falhas em produtos de terceiros em pesquisa autorizada, procurará comunicar o fornecedor ou operador de forma confidencial e coordenar correção e divulgação proporcionais. Uma equipe CERT ou coordenador apropriado poderá ajudar. Dados de clientes e resultados confidenciais seguem os contratos aplicáveis. As metas acima não autorizam divulgação unilateral de informações confidenciais.

Contato

Use o contato de segurança publicado neste site. Se houver dúvida sobre escopo ou canal de envio, consulte a Blaze antes de continuar os testes.